安全团队很少因为缺乏数据而失败。更多时候，他们失败是因为他们首先解决了错误的问题。这正是已知漏洞情报、基于风险的漏洞管理、《网络弹性法案》以及其他相关内容的重要性所在。 CIS已知已利用漏洞目录现已融入现代应用安全工作流程。
每周，扫描器都会报告数百个漏洞。然而，攻击者只会利用其中的一小部分。因此，那些在优先级排序时忽略漏洞利用背景的团队会浪费时间，而真正的威胁却会悄然溜走。已知漏洞情报通过揭示攻击者实际使用的漏洞（而不仅仅是那些纸面上看起来很严重的漏洞）来弥补这一差距。
已知信息——利用情报
已知漏洞利用情报能够识别攻击者在真实环境中积极利用的漏洞。换句话说，它将理论风险与已证实的攻击行为区分开来。
与其询问是否存在漏洞，不如直接询问是否存在漏洞。 可以 如果被利用，团队最终可以提出这样的问题：
这个漏洞是否已被利用？它是否会影响我的产品？
这种区别在操作上很重要，而且在法律上也越来越重要。
为什么传统的优先级排序方式行不通
大多数团队仍然依赖静态信号来确定风险优先级。
通常，他们按以下方式对漏洞进行分类：
- CVSS 严重程度
- 扫描仪置信度
- 套餐受欢迎程度
尽管这些信号有助于减少噪音，但它们忽略了一个关键因素：攻击者的行为。因此，团队常常急于修复那些从未被利用的高危漏洞，却忽略了攻击者积极攻击的低危漏洞。
这种差距解释了为什么静态优先级排序不再具有可扩展性。
《网络韧性法案》为何改变规则
在下面 网络弹性法案发布存在已知可利用漏洞的软件，就不仅仅是安全问题，而是一个合规性问题。
该规定要求：
- 含有数字元素的产品不得进入欧盟市场，因为它们存在已知的可利用漏洞。
- 制造商实施漏洞处理和安全门控
- 真实环境中的利用比理论上的严重性更具分量。
因此，优先事项从最佳实践转变为法律义务。
这正是情报利用变得至关重要的地方。
网络弹性法案
此 网络弹性法案 是欧盟的一项法规，规定了在欧盟销售的含数字元素产品的强制性网络安全要求。
简而言之，它要求制造商在设计、开发和维护软件时，确保软件在发布时不包含已知的可利用漏洞。此外，它还要求公司在软件发布后监控漏洞，并在严格的时限内报告已被利用的漏洞。
该法规于 2024 年 12 月生效。然而，全面强制执行将于 2027 年 12 月开始。从 2026 年开始，公司必须在发现已被积极利用的漏洞后 24 小时内向欧盟当局报告。
换句话说，《网络弹性法案》将漏洞管理从最佳实践变成了市场准入要求。
为什么关键事件报告（KEV）在社区再投资法案（CRA）合规中占据核心地位
此 CIS已知被利用漏洞目录 列出攻击者已在实际环境中利用的CVE漏洞。此目录消除了歧义。
团队无需再争论风险，而是可以依赖经过验证的漏洞利用数据。因此，关键事件漏洞 (KEV) 成为触发补救服务级别协议 (SLA) 和阻止版本发布的最有力工具。
这种方法自然而然地与……相符 基于风险的脆弱性管理因为它将精力集中在真正造成损害的地方。
CVSS、EPSS 和 KEV 的用途各不相同
有效的优先级排序需要了解信号之间的差异。
单独使用时，每个信号都会产生误导。但结合使用，它们就能提供背景信息。这种组合构成了现代基于风险的漏洞管理的基础。
已知漏洞情报在实践中的应用
一个实用的优先级排序模型遵循清晰的顺序：
- 检测代码和依赖项中的漏洞
- 将结果与……进行比对 CIS已知被利用漏洞目录
- 使用 EPSS 评估漏洞利用的可能性
- 验证应用程序的可达性或 pipeline
- 根据暴露情况和产品作用应用补救规则
因此，团队不再将漏洞列表视为待办事项，而是开始将其视为……cis离子。
Xygeni 如何构建已知漏洞情报
我们之所以开发这项功能，是因为我们多次看到团队在修复高 CVSS 错误的同时，已知的漏洞却仍然被利用并部署到生产环境中。这些经验影响了我们系统的设计方式。
与 v5.36, Xygeni 将经过验证的漏洞利用情报直接集成到优先级引擎中。
引擎盖下发生了什么
- Xygeni 会持续接收可信的漏洞利用目录，例如 KEV 和其他公开的漏洞利用资源。
- 每个漏洞都会收到漏洞利用存在元数据。
- 优先级排序漏斗结合了：
- 已知漏洞利用状态
- EPSS概率
- 可达性背景
- 代码和依赖项暴露
该平台计算综合真实世界风险评分
该模型不是取代现有信号，而是对其进行改进。
检测 → 漏洞匹配 → 可达性 → 修复
这种流动驱动着每一个……cis离子：
开发者可以直接在以下位置看到漏洞利用上下文： pull requests. Pipeline仅当可访问代码包含已知已被利用的漏洞时，才会进行代码块合并。自动修复功能会立即提出安全的升级方案。
无需开会。无需猜测。无需紧急补救。
为什么这不仅仅关乎合规性？
虽然《网络韧性法案》引发了这一转变，但其益处远不止于此。
优先使用漏洞情报的团队：
- 减少警报疲劳
- 缩短补救时间
- 避免紧急修补周期
- 更有信心地交付更安全的软件
合规性是做好安全工作的自然结果。
结语：加拿大税务局强制推行基于风险的管理
《网络韧性法案》正式确立了经验丰富的团队早已掌握的理念：并非所有漏洞都同等重要。
此 CIS已知已利用漏洞目录展示了攻击者目前使用的漏洞。上下文和可访问性则表明这些漏洞是否会影响到您。它们共同定义了现代安全策略。 基于风险的脆弱性管理.
Xygeni 持续、自动地将此模型应用于开发人员已经工作的地方。
关于作者
作者 法蒂玛 Said她是Xygeni Security公司专注于应用安全的内容营销经理。她创作以开发者为中心、以研究为导向的应用安全内容。 ASPM以及 DevSecOps，将现实世界的安全挑战转化为清晰、可操作的指导。
